View a markdown version of this page

Création de fonctions de CloudFront connexion pour une validation mutuelle du protocole TLS (afficheur) - Amazon CloudFront
CloudFront consoleAWS CLI

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Création de fonctions de CloudFront connexion pour une validation mutuelle du protocole TLS (afficheur)

Vous créez une fonction de CloudFront connexion en deux étapes :

  1. Créez le code de fonction sous la forme JavaScript. Vous pouvez utiliser l'exemple par défaut de la CloudFront console ou écrire le vôtre. Pour plus d’informations, consultez les rubriques suivantes :

    • Écrire le code CloudFront de la fonction de connexion pour la validation mTLS

    • CloudFront Structure des événements et format de réponse de la fonction de connexion

    • Exemples de code de fonction de connexion

  2. CloudFront Utilisez-le pour créer la fonction de connexion et inclure votre code. Le code existe à l’intérieur de la fonction (et non en tant que référence).

CloudFront console

Pour créer une fonction de connexion

  1. Connectez-vous à Console de gestion AWS et ouvrez la CloudFront console à l'adressehttps://console.aws.amazon.com/cloudfront/v4/home.

  2. Choisissez Créer une fonction.

  3. Entrez un nom de fonction unique dans le Compte AWS, choisissez Fonction de connexion comme type de fonction, puis choisissez Continuer.

  4. La page de détails de la nouvelle fonction de connexion s'affiche.

    Note

    Les fonctions de connexion ne prennent en charge que le JavaScript runtime 2.0. Pour utiliser l' KeyValueStore intégration de la fonction de CloudFront connexion dans la fonction, vous devez utiliser cette version d'exécution.

  5. Dans la section Code de fonction, choisissez l'onglet Créer et entrez votre code de fonction de connexion. L'exemple de code inclus dans l'onglet Générer illustre la syntaxe de base du code de la fonction de connexion.

  6. Sélectionnez Enregistrer les modifications.

  7. Si le code de la fonction de connexion est utilisé KeyValueStore pour la vérification de la révocation du certificat ou la validation de l'appareil, vous devez associer un KeyValueStore.

    Vous pouvez l'associer KeyValueStore lorsque vous créez la fonction pour la première fois. Vous pouvez également l'associer ultérieurement, en associant des fonctions de connexion.

    Pour associer un KeyValueStore now, procédez comme suit :

    • Accédez à la KeyValueStore section Associer et choisissez Associer existant KeyValueStore.

    • Sélectionnez celui KeyValueStore qui contient les données de certificat pour votre fonction de connexion, puis choisissez Associer KeyValueStore.

    CloudFront associe immédiatement le magasin à la fonction. Vous n’avez pas besoin d’enregistrer la fonction.

AWS CLI

Si vous utilisez le AWS CLI, vous créez généralement d'abord le code de la fonction de connexion dans un fichier, puis créez la fonction avec le AWS CLI.

Pour créer une fonction de connexion

  1. Créez le code de la fonction de connexion dans un fichier et stockez-le dans un répertoire auquel votre ordinateur peut se connecter.

  2. Exécutez la commande, comme illustré dans l’exemple. Cet exemple utilise la notation fileb:// pour transmettre le fichier. Il inclut également des sauts de ligne pour rendre la commande plus lisible.

    aws cloudfront create-connection-function \
    --name CertificateValidator \
    --connection-function-config '{
        "Comment":"Device certificate validation",
        "Runtime":"cloudfront-js-2.0",
        "KeyValueStoreAssociations":{
            "Quantity":1,
            "Items":[{
                "KeyValueStoreARN":"arn:aws:cloudfront::111122223333:key-value-store/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
            }]
        }
    }' \
    --connection-function-code fileb://certificate-validator.js
    Note

    • Runtime  : les fonctions de connexion ne prennent en charge que le JavaScript runtime 2.0 (cloudfront-js-2.0).

    • KeyValueStoreAssociations— Si votre fonction de connexion l'utilise KeyValueStore pour la validation du certificat, vous pouvez l'associer KeyValueStore lorsque vous créez la fonction pour la première fois. Vous pouvez également l'associer ultérieurement, en utilisant la fonction update-connection-function. La quantité est toujours égale à 1 car chaque fonction de connexion ne peut être KeyValueStore associée qu'à une seule fonction.

  3. Lorsque la commande s’exécute correctement, vous obtenez une sortie similaire à ce qui suit.

    ETag: ETVABCEXAMPLE
ConnectionFunctionSummary:
  ConnectionFunctionConfig:
    Comment: Device certificate validation
    Runtime: cloudfront-js-2.0
    KeyValueStoreAssociations:
      Quantity: 1
      Items:
        - KeyValueStoreARN: arn:aws:cloudfront::111122223333:key-value-store/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111
  ConnectionFunctionMetadata:
    CreatedTime: '2024-09-04T16:32:54.292000+00:00'
    ConnectionFunctionARN: arn:aws:cloudfront::111122223333:connection-function/CertificateValidator
    LastModifiedTime: '2024-09-04T16:32:54.292000+00:00'
    Stage: DEVELOPMENT
  Name: CertificateValidator
  Status: UNPUBLISHED
Location: https://cloudfront.amazonaws.com/2020-05-31/connection-function/arn:aws:cloudfront:::connection-function/CertificateValidator

    La plupart des informations proviennent de la demande. D'autres informations sont ajoutées par CloudFront.

    Note

    • ETag — Cette valeur change chaque fois que vous modifiez la fonction de connexion. Vous avez besoin de cette valeur pour mettre à jour ou publier la fonction.

    • Étape — Les nouvelles fonctions de connexion démarrent au stade de DÉVELOPPEMENT. Vous devez publier la fonction pour la déplacer vers la scène LIVE avant de l'associer à une distribution.

    • État  : le statut de la fonction est NON PUBLIÉ jusqu'à ce que vous la publiiez sur la scène LIVE.